【安全研究】从mimikatz学习万能密码

1.背景介绍

2015年1月2日，Dell Secureworks共享了一份关于利用专用域控制器(DC)恶意软件(名为“SkeletonKey”恶意软件)进行高级攻ji活动的报告，SkeletonKey恶意软件修改了DC的身份验证流程，域用户仍然可以使用其用户名和密码登录，攻ji者可以使用Skeleton Key密码作为任何域用户登录

(http://www.secureworks.com/cyber-threat-intelligence/threats/skeleton-key-malware-analysis/)，2015 年 1 月 17 日Benjamin Delpy更新了Mimikatz使其也能进行Skeleton Key攻ji，我们今天分析的主要内容也就是mimikatz的misc::skeleton功能。

2.模块详细分析

misc::skeleton功能模块在kuhl_m_misc.c文件中，从该c文件开头可以看到作者定义了一个结构体数组用来存储当前misc模块中具体有哪些功能，该结构体有3个成员第一个是功能函数，第二个是启动该功能的参数，第三个是功能描述所以我们今天要分析的skeleton在这个kuhl_m_misc_skeleton函数中启动命令为misc::skeleton暂无描述，可以看到其他该misc模块是有很多功能是日常使用中也没有用上后续可以挖掘功能

所以我们在这个kuhl_m_misc_skeleton函数下个断点当我们执行misc::skeleton时就可以执行到这里开始调试，在该函数开始前还定义一个数组存储了一个字符串Kerberos-Newer-Keys，这是个很重要的字符串后续用到的时候详细解释

可以看到函数开始定义了很多变量,可以看到extensions结构体初始化了一些值，我们查看一下这个结构体可以发现该结构体成员有4个从名称大概可以猜出来分别为模块，功能，替换的值，指针，这样我们大概就可以这个结构体数组是什么了第一个结构体就是模块是kernel32.dll，localAlloc函数，替换的值为0X4a4a4a4a4a,指针为NULL，从现在来看这个结构体大部分内容是没意义的还有很多为NULL的

接下来又定义了一个结构体exforcb来存储extensions以及extensions的大小，判断当前Mimikatz的版本号是否小于vista系统的版本号这里我们的软件版本11是大于宏定义的visita系统5000的或者传入命令参数是否有letaes我们这里传入的是misc::skeleton所以两个判断都不为真onlyRC4Stuff为0 这样也才能进入下面的功能操作。接着利用RtlZeroMemory函数初始化orig结构体填充0

接下来用RtlInitUnicodeString函数计算出Kerberos-Newer-Keys字符串的长度并将该字符串以及长度保存在orig结构体中

接下来传入lsass.exe到kull_m_process_getProcessIdForName函数中用来获取lsass进程的pid，该函数主要通过NtQuerySystemInformationAPI函数来获取

接下来利用openprocess函数传入开始lsass进程的pid来获取lsass进程的句柄，然后将KULL_M_MEMORY_TYPE_PROCESS,lsass进程的句柄，&alsass.hmemory传入kull_m_memory_open函数中，alsass也是kuhl_m_misc_skeleton函数一开始定义的结构体里面有2个成员一个存储地址的指针，另一个成员又是一个结构体主要表示当前句柄的类型或者内存的属性

跟进这个函发现会根据传入的参数走KULL_M_MEMORY_TYPE_PROCESScase该函数主要就是给alsass.hmemory结构体赋值

接下来由于onlyRC4Stuff为0所以可以进入里面的流程我们看到kull_m_process_getVeryBasicModuleInformationsForName传入了3个参数开始的alsass.hmemory，kdscsvc.dll字符串，和另一个cryptinfos结构体的引用这个结构体主要是一个存储模块的基础信息成员有模块基地址，模块大小，时间戳，没有公开的函数

跟进函数其实该函数主要是通过kull_m_process_getVeryBasicModuleInformations函数获取kdscsvc.dll的详细信息，kull_m_process_callback_moduleForName是个回调函数主要是用结构体赋值的